OpenWrt: Upgrade-Schwachstelle CVE-2024-54143 gefährdet Firmware-Updates

Kurze Information für Benutzer der OpenWrt-Firmware für Router. Der Update-Service für die Firmware weist in älteren Versionen die Schwachstelle CVE-2024-54143 auf. Angreifer könnten diese Schwachstelle ausnutzen, um Schadsoftware per Firmware-Update einzuschleusen. Es gibt aber bereits eine gepatchte Firmware-Version.

Die Open-Source-Software OpenWrt ist eine Linux-Distribution für eingebettete Systeme wie CPE-Router, Smartphones (z. B. Neo FreeRunner) oder Pocket-Computer (z. B. Ben NanoNote). OpenWrt insbesondere häufiger in CPE- und WLAN-Routern (kann z.B.  auf einer FRITZ!Box als Alternative zu FRITZ!OS eingesetzt werden – siehe z.B. diesen heise-Beitrag).

In älteren Versionen der OpenWrt-Firmware gibt es aber eine gravierende Schwachstelle CVE-2024-54143 im Updater, die von Flatt Security entdeckt und am 4. Dezember 2024 an die OpenWrt-Maintainer gemeldet wurde und in diesem Blog-Beitrag beschrieben ist.

Für OpenWrt-basierte Distributionen gibt es openwrt/asu (auf sysupgrade.openwrt.org), ein Image-on-Demand-Server , über den Firmware-Updates gezogen werden können. Das Problem: Der Request-Hashing-Mechanismus kürzt SHA-256-Hashes auf nur 12 Zeichen ab. Dadurch wird die Entropie erheblich reduziert, so dass es für einen Angreifer möglich ist, Kollisionen zu erzeugen.

Dies könnte von einem Angreifer ausgenutzt werden, um ein zuvor erstelltes bösartiges  Abbild einer Firmware anstelle eines legitimen Firmware-Builds über den Dienst auszuliefern. Der Angreifer könnte den Artefakt-Cache „vergiften" und ahnungslosen Benutzern kompromittierte Firmware-Builds liefern, heißt es unter CVE-2024-54143.

Es ist auch vorstellbar, Angriffe zu kombinieren, und z. B. mittels einer Befehlsinjektion in den Imagebuilder beliebige Befehle in den Build-Prozess einzuschleusen. Das würde zur Erstellung infizierter Firmware-Images führen, die mit dem legitimen OpenWrt-Erstellungsschlüssel signiert sind. Diese Schwachstelle wurde mit der Build 920c8a1 behoben.

Eine Beschreibung der Schwachstelle wurde vor vier Tagen auf GitHub veröffentlicht. Laut OpenWrt-Team sei keine der ausgelieferten Firmware-Builds bisher von böswilligen Akteuren manipuliert worden. Bleeping Computer und auch Golem haben Beiträge zum Thema veröffentlicht, wo sich weitere Details nachlesen lassen.